Fallstudie · Berechtigungen
Als plötzlich jeder in jedes Postfach sehen konnte
Ein Dienstleister für Datensicherheit hatte seine Windows- und Exchange-Server auf eine neue Version gehoben. Danach konnte praktisch jeder Beschäftigte jedes Postfach öffnen und jedes Verzeichnis auf dem Server betreten – einschließlich der Ablagen von Geschäftsführung und Buchhaltung. Dass beides gleichzeitig auftrat, war der entscheidende Hinweis.
Ein Sicherheitsdienstleister mit 50 Administratoren kam nicht weiter
Das Unternehmen betreute große Kommunikationsanbieter und beschäftigte rund fünfzig Administratoren. Fachwissen war also reichlich vorhanden – nur eben verteilt auf Netzwerk, Betriebssysteme, Sicherheitstechnik und Kundenprojekte. Für die Frage, warum nach einer Migration ausgerechnet die Rechtevererbung aussetzt, fand sich niemand mit einschlägiger Erfahrung.
Das ist keine Nachlässigkeit, sondern eine Frage der Spezialisierung. Wer täglich Firewalls und Angriffserkennung betreut, hat selten eine Exchange-Migration mit gewachsener Berechtigungsstruktur vor sich. Genau deshalb wurde von außen jemand hinzugezogen.
Der Zeitdruck kam aus der Sache selbst: Solange die Zugriffe offen waren, konnte jeder im Haus Personalvorgänge, Verträge und Buchhaltungsdaten einsehen. Bemerkt hätte man es nachträglich kaum – Lesezugriffe hinterlassen keine auffälligen Spuren.
Vor dem Einsatz
Was die Kombination der Symptome bereits verriet
Bevor jemand vor Ort war, ließ sich die Menge der möglichen Ursachen eingrenzen. Entscheidend war ein Umstand, den die Beteiligten zunächst für einen Zufall hielten: Betroffen waren Postfächer und Dateiverzeichnisse gleichzeitig. Ein reiner Fehler beim Exchange-Update erklärt das nicht – der würde die Dateifreigaben unberührt lassen. Es musste also etwas geben, das beide Systeme gemeinsam haben. Vier Möglichkeiten blieben:
- Eine allgemeine Benutzergruppe wurde in eine administrative Gruppe aufgenommen. Der schnellste Weg zu genau diesem Bild: Wer in einer Verwaltungsgruppe steckt, kommt überall hin – ohne dass an einem einzelnen Postfach oder Ordner etwas verändert worden wäre.
- Eine Gruppe erhielt weitreichende Rechte auf Exchange und Dateiserver. Nicht die Mitgliedschaft wäre dann das Problem, sondern das, was der Gruppe an beiden Stellen zugestanden wurde.
- Beim Upgrade lief ein Skript mit falschem Ziel. Migrationsskripte setzen Rechte in großer Zahl. Ein falscher Parameter, und sie treffen den ganzen Bestand statt eines Teils.
- Ein administratives Konto wurde übernommen und die Rechte absichtlich verändert. Die unangenehmste Möglichkeit – und die, die man ausschließen muss, bevor man etwas repariert. Wer nur aufräumt, ohne diese Frage zu stellen, schließt einen Angreifer womöglich mit ein.
Vor Ort
Sieben Schritte, in dieser Reihenfolge
Die Reihenfolge ist der eigentliche Inhalt dieser Fallstudie. Sie führt vom sichtbaren Symptom zur gemeinsamen Ursache – und ändert erst dann etwas, wenn feststeht, was zu ändern ist.
Den Zugriff wirklich nachstellen
Nicht der Beschreibung folgen, sondern es selbst versuchen: Mit einem gewöhnlichen Benutzerkonto ein fremdes Postfach öffnen. Erst wenn das gelingt, ist klar, dass es kein Missverständnis ist – und man weiß genau, welcher Zugriff zu erklären ist.
Die Gruppenmitgliedschaften dieses Kontos prüfen
Wo ist der Benutzer überall Mitglied, auch verschachtelt? Steckt ein gewöhnliches Konto in einer Verwaltungsgruppe, ist die Erklärung damit meist schon gefunden.
Alle direkt gesetzten Vollzugriffe ausleiten
Sämtliche Berechtigungen auf Postfachebene werden ausgegeben und gesichert – als vollständige Liste, nicht stichprobenweise. Dieser Stand ist zugleich das Beweismittel für den Zustand vor jeder Änderung.
Zuerst an einem einzigen Testpostfach entfernen
Das vermeintlich falsche Recht wird an genau einem Postfach zurückgenommen und geprüft, ob der Zugriff damit tatsächlich endet. Wer stattdessen den ganzen Bestand auf einmal ändert, weiß hinterher nicht, was gewirkt hat – und legt im ungünstigen Fall den Betrieb lahm.
Wenn auf Postfachebene nichts zu finden ist, weitersuchen
Zeigt die Auswertung keine auffälligen Einträge, liegt die Ursache nicht dort. Das ist kein Rückschlag, sondern ein Ergebnis: Es schließt eine ganze Ebene aus.
Übergeordnete Exchange- und Verzeichnisrechte prüfen
Rechte, die auf einer Ebene darüber vergeben sind, wirken auf alles darunter, ohne an einem einzelnen Postfach sichtbar zu sein. Genau deshalb finden Prüfungen, die nur die Postfächer ansehen, hier nichts.
Die Dateiverzeichnisse gegenprüfen
Können dieselben Benutzer auch alle Windows-Freigaben öffnen, ist die gemeinsame Ursache damit eingekreist: eine Gruppe im Verzeichnisdienst oder eine veränderte Vererbung auf den Dateisystemrechten. Beides wirkt auf beide Systeme – und erklärt, was ein Exchange-Fehler allein nicht erklären kann.
Übertragbar
Was daraus für jede Migration folgt
Der Fall liegt Jahre zurück, das Muster nicht. Bei Migrationen sehen wir dieselbe Lücke bis heute – auch bei Umzügen nach Microsoft 365.
- Berechtigungen vor und nach der Migration auslesen. Ein Vergleich der beiden Stände zeigt in Minuten, was sich verschoben hat. Ohne den Stand von vorher ist jede spätere Diskussion Vermutung.
- Migrationsrechte haben ein Ablaufdatum. Was für den Umzug gesetzt wird, gehört danach wieder entfernt – am besten notiert, bevor es gesetzt wird.
- Eine gelungene Anmeldung ist kein Beweis. Dass alle arbeiten können, sagt nichts darüber, wer sonst noch könnte.
- Zwei, drei Stichproben genügen. Ein Konto aus der Sachbearbeitung nehmen und versuchen, die Geschäftsführungsablage zu öffnen. Diese Prüfung dauert fünf Minuten und wird fast nie gemacht.
- Lesezugriffe hinterlassen kaum Spuren. Anders als gelöschte Dateien fällt unbefugtes Lesen im Nachhinein selten auf – deshalb hilft nur die Prüfung vorher.
- Ein solcher Zustand wäre heute meldepflichtig. Seit Mai 2018 kann ein offener Zugriff auf Personal- und Buchhaltungsdaten eine Meldung nach Artikel 33 DSGVO auslösen. Zum Zeitpunkt dieses Projekts galt das noch nicht.
Häufige Fragen
Was Interessenten dazu meistens fragen
Vier Stunden klingt kurz. Was war der Grund?
Dass die Ursache eine gemeinsame war. Postfächer und Dateiverzeichnisse waren gleichzeitig betroffen – das schließt einen reinen Fehler beim Exchange-Update aus und führt zwangsläufig auf etwas, das beide Systeme teilen. Wer das erkennt, sucht an zwei Stellen statt an zweihundert.
Der längere Teil war die Aufnahme: nachstellen, auslesen, sichern, an einem einzigen Postfach prüfen. Die eigentliche Änderung dauerte Minuten. Umgekehrt wäre es gefährlich gewesen – wer sofort im ganzen Bestand Rechte entzieht, weiß hinterher nicht, was gewirkt hat, und legt schnell den Betrieb lahm.
Warum kam das eigene Team mit fünfzig Administratoren nicht weiter?
Weil es eine Frage der Spezialisierung ist, nicht des Könnens. Die Leute dort betreuten Sicherheitstechnik für große Kommunikationsanbieter. Eine Exchange-Migration mit gewachsener Berechtigungsstruktur kommt in diesem Alltag nicht vor.
Das ist der übliche Grund, warum uns Häuser mit eigener IT-Abteilung hinzuziehen: nicht für den Betrieb, sondern für eine Sache, die sie ein- oder zweimal im Jahrzehnt trifft.
Wurden während der offenen Zeit Daten abgegriffen?
Das ließ sich nicht abschließend klären, und wir haben das damals auch so gesagt. Lesezugriffe auf Dateifreigaben werden standardmäßig nicht protokolliert – ohne eingeschaltete Überwachung gibt es schlicht nichts auszuwerten.
Daraus folgt die unbequeme Lehre: Wer im Nachhinein wissen will, ob etwas passiert ist, muss die Protokollierung vorher eingeschaltet haben.
Kann das bei einem Umzug nach Microsoft 365 auch passieren?
Ja, in anderer Form. Dort sind es meist zu weit gefasste Freigaben in SharePoint und OneDrive oder Berechtigungen, die beim Umzug der Postfächer gesetzt und nicht zurückgenommen wurden.
Die Gegenmaßnahme ist dieselbe: Zustand vor und nach dem Umzug auslesen und vergleichen. In Microsoft 365 ist das sogar einfacher, weil sich die erteilten Freigaben zentral auswerten lassen.
Hinweis zur Vertraulichkeit
Aus Gründen der Vertraulichkeit veröffentlichen wir Kundennamen und Ansprechpartner nur mit ausdrücklicher Zustimmung. Das gilt hier besonders: Es geht um eine Sicherheitslücke im Haus eines Sicherheitsdienstleisters. Weitere Referenzen aus vergleichbaren Projekten stellen wir qualifizierten Interessenten im persönlichen Gespräch und nach Abstimmung mit dem jeweiligen Kunden gerne zur Verfügung.
Zum Weiterlesen
Passende Leistungen und Beiträge
Kostenloser Sicherheits-Check
Wissen Sie, wer bei Ihnen woran kommt?
Wir lesen die Berechtigungen Ihrer Dateifreigaben und Postfächer aus und zeigen Ihnen, wer tatsächlich Zugriff hat. Das Ergebnis bekommen Sie schriftlich – auch wenn Sie danach nichts weiter mit uns machen.
0221 984300-0Zentrale und Support-Hotline
[email protected]Antwort innerhalb von 4 Stunden an Werktagen
Robert-Perthel-Straße 7250739 Köln – Bilderstöckchen
Mo–Fr 09:00–18:00 UhrNotfallsupport nach Vereinbarung auch außerhalb